Neuer Branchenbericht unterstreicht kritische Notwendigkeit von Edge-basierten Vertrauensentscheidungen in Zero-Trust-Architekturen

Warum Zero Trust näher an den Edge rücken muss

In der Welt der Zero-Trust-Architektur (ZTA) baut sich eine stille Spannung auf. Auf der einen Seite steht die starre, zentralisierte Governance, die ZTA so attraktiv macht. Auf der anderen Seite steht die komplexe, reale Anforderung an eine latenzarme, Edge-basierte Entscheidungsfindung.

Das Kernversprechen von Zero Trust ist einfach: Vertraue niemandem, verifiziere immer. Doch wenn man diese Theorie auf ein physisches Gebäude überträgt – denken Sie an Türsteuerungen, biometrische Scanner oder industrielle Sensoren –, beginnt der Teil „immer verifizieren“ zu bröckeln. Wenn eine Türsteuerung bei jedem Badge-Scan einen zentralen Server anpingen muss, um Ihre Anmeldedaten zu prüfen, werden Sie dort eine ganze Weile warten.

Dies ist der Reibungspunkt. Unternehmen haben Schwierigkeiten, die Richtlinienentscheidung von der Durchsetzung zu trennen, ohne dabei Sicherheit oder Geschwindigkeit zu opfern.

Die „Drifting Perimeter“-Falle

Chuck Davis, VP of Global Information Security bei Hikvision, hat dies schon zu oft erlebt. Um den Betrieb bei Netzwerkproblemen aufrechtzuerhalten, verlängern Unternehmen oft die Lebensdauer ihrer Richtlinien-Caches. Es ist eine klassische „Schnelllösung“ für Konnektivitätsprobleme, aber eine gefährliche.

Wenn Sie ein Gerät mit veralteten Autorisierungsdaten betreiben lassen, praktizieren Sie nicht wirklich Zero Trust. Sie schaffen im Grunde eine „driftende Perimeter“ (drifting perimeter). Sie kehren im Wesentlichen zum alten Modell zurück, dem Sie entkommen wollten, bei dem einem Gerät vertraut wird, nur weil ihm gestern vertraut wurde. Es ist ein Sicherheitsrückschritt, der als betriebliche Notwendigkeit getarnt ist.

Der Vorstoß in Richtung ZTA ist unaufhaltsam. Der globale Markt wird bis 2026 voraussichtlich mit einer jährlichen Wachstumsrate (CAGR) von 27,5 % wachsen, und das US-Verteidigungsministerium unterstützt diesen Wandel allein im Budget für 2025 mit fast einer Milliarde Dollar. Alle bewegen sich in diese Richtung, aber nicht jeder macht es richtig.

Die Frameworks, nach denen wir leben

Der Standard NIST 800-207 ist hier das Fundament. Er hat uns von der „Burggraben“-Mentalität weggeführt – bei der man sich innerhalb des VPN frei bewegen konnte – hin zu einem Modell der kontinuierlichen, kontextbezogenen Verifizierung.

Die meisten Unternehmen stützen sich heute auf das CISA Zero Trust Maturity Model, um ihre Projekte auf Kurs zu halten. Es unterteilt die Herausforderung in fünf überschaubare Säulen: Identität, Geräte, Netzwerke, Anwendungen/Workloads und Daten. Es ist ein solider Fahrplan, erfordert aber einen grundlegenden Mentalitätswandel. Man muss aufhören, in „Vertrauen, aber verifizieren“ zu denken, und anfangen, nach „Niemals vertrauen, immer verifizieren“ zu leben.

Das Dilemma der Edge-Durchsetzung

Das eigentliche Kopfzerbrechen beginnt, wenn man versucht, physische Infrastruktur in eine softwaredefinierte Box zu zwingen. In einer perfekten Welt sind der Policy Decision Point (PDP) und der Policy Enforcement Point (PEP) getrennt. Aber in der realen Welt wird die Latenz zum K.-o.-Kriterium, wenn Ihr PEP für jede einzelne Transaktion einen Round-Trip zu einem zentralen Server benötigt.

Wenn Sie keine Latenz von unter 200 ms erreichen, werden Ihre physischen Sicherheitssysteme unbrauchbar. Aber auch hier ist die Antwort nicht, die Anmeldedaten einfach unbegrenzt zwischenzuspeichern. So entstehen Sicherheitslücken. Stattdessen suchen Sicherheitsverantwortliche nach einigen intelligenteren Alternativen:

• Kryptografisch signierte Richtlinien: Lassen Sie die Edge-Geräte die Schwerstarbeit erledigen, indem Sie Richtlinien verwenden, die von der zentralen Autorität kryptografisch signiert wurden. Dies bewahrt die Integrität, ohne dass ein ständiger Herzschlag zum „Mutterschiff“ erforderlich ist.
• Kurzlebige Anmeldedaten: Wenn Sie Token verwenden müssen, lassen Sie diese schnell ablaufen. Wenn ein Edge-Gerät kompromittiert wird, möchten Sie den Schadensradius begrenzen.
• Explizite Fail-Safe/Fail-Secure-Logik: Überlassen Sie Ihren Ausfallzustand nicht dem Zufall. Führen Sie eine Risikobewertung durch. Bleibt die Tür bei einem Ausfall verschlossen oder offen? Sicherheit und Schutz kollidieren hier oft, und Sie benötigen einen dokumentierten Plan.
• Reduzierte Angriffsfläche: ZTA ist Ihre beste Verteidigung gegen laterale Bewegungen. Durch die Segmentierung des Netzwerks verhindern Sie, dass Hacker von einem kompromittierten Drucker auf Ihre Kerndatenbank springen – eine häufige Taktik, die bei Schwachstellen in älteren Remote-Access-Tools beobachtet wurde.

Wie es von hier aus weitergeht

Die Daten sind eindeutig: Die traditionelle Perimeter ist tot. ZTNA wuchs zwischen 2021 und 2022 um 87 % im Jahresvergleich, und fast die Hälfte aller Unternehmen steckt derzeit mitten in einer Zero-Trust-Einführung.

Für diejenigen an der Front ist das Ziel, strategische Implementierungs-Frameworks zu finden, die digitale und physische Assets nicht als getrennte Silos behandeln. Wir bewegen uns auf eine Welt zu, in der die Identität die Perimeter ist. Es spielt keine Rolle, ob Sie sich bei einer Cloud-App anmelden oder durch die Tür eines Serverraums gehen – der Verifizierungsprozess sollte gleichermaßen streng sein.

Die Zukunft von ZTA besteht nicht in zentralisierter Kontrolle auf Kosten der Leistung. Es geht darum, diese Intelligenz an den Edge zu verlagern. Die Unternehmen, die gewinnen werden, sind diejenigen, die herausfinden, wie man eine strenge, zentralisierte Richtlinie mit der Geschwindigkeit des Edge durchsetzt. Es ist ein empfindliches Gleichgewicht, aber es ist der einzige Weg, eine wirklich widerstandsfähige, moderne Infrastruktur aufzubauen.